Cyberkriminelle verfeinern ständig ihre Taktiken, wodurch Android-Malware immer heimtückischer und schwerer zu erkennen wird. Eine neue Variante der gefälschten NextGen mParivahan -Malware ist aufgetaucht, die zwar die Täuschungsstrategien ihres Vorgängers beibehält, aber deutliche Verbesserungen aufweist.
Zuvor hatten Angreifer das Verkehrsmeldesystem der Regierung ausgenutzt, um Schadsoftware zu verbreiten. Sie verschickten gefälschte Nachrichten, die als offizielle Verkehrsverstoßwarnungen getarnt waren. Diese Nachrichten enthielten Details wie Strafzettelnummern und Fahrzeugregistrierungsinformationen, um legitim zu wirken und Nutzer zum Download einer schädlichen App zu verleiten. Nach der Installation forderte die App umfangreiche Berechtigungen an, verbarg ihr Symbol und exfiltrierte unbemerkt vertrauliche Daten, darunter auch SMS-Nachrichten – während sie über einen Telegram-Bot mit den Angreifern kommunizierte.
In dieser neuesten Variante wird die Malware unter dem Deckmantel „NextGen mParivahan“ verbreitet und imitiert damit die offizielle Regierungsanwendung. Die Verbreitung erfolgt nach der gleichen Methode wie zuvor: Mit gefälschten Meldungen über Verkehrsverstöße werden Nutzer zur Installation der schädlichen App verleitet.
Die offizielle NextGen mParivahan-App, entwickelt vom Ministerium für Straßenverkehr und Autobahnen, bietet digitalen Zugriff auf Führerscheine, Fahrzeugzulassungsbescheinigungen und andere Transportdienste. Sie ist im Google Play Store erhältlich und ersetzt die frühere mParivahan-App mit verbesserten Funktionen und einem besseren Benutzererlebnis.
Die durch das Rebranding der App entstandene Gelegenheit wurde jedoch von Cyberkriminellen genutzt, die unter dem Namen „NextGen mParivahan“ Schadsoftware verbreiten , um Nutzer zu täuschen. In dieser neuesten Variante behält die Schadsoftware ihre Fähigkeit zum Abfangen von SMS bei. Sie hat ihre Reichweite deutlich erweitert und zielt nun auf Nachrichten von Social-Media-, Kommunikations- und E-Commerce-Apps ab, wodurch die Privatsphäre der Nutzer noch stärker gefährdet wird.
Darüber hinaus nutzen einige Samples einen versteckteren Command-and-Control-Mechanismus (C2), indem sie ihre C2-Details in einer kompilierten SO-Datei verbergen und diese zur Laufzeit dynamisch generieren. Dieser Ansatz erschwert die Erkennung und Analyse erheblich. Einige Samples sind absichtlich manipuliert, um die Sicherheitsbemühungen weiter zu behindern, und nutzen mehrstufige Dropper-Payload-Architekturen, um signaturbasierte und heuristische Erkennungssysteme zu umgehen.
In unserem vorherigen Blogbeitrag analysierten wir die Infektionskette und die Kommunikationstaktiken der Vorgängerversion ( Vorsicht! Schadsoftware für Android, getarnt als Regierungswarnungen ). Die neuesten Varianten behalten diese Funktionen nicht nur bei, sondern erweitern sie sogar, wodurch sowohl ihre Tarnung als auch ihre Fähigkeiten zum Datendiebstahl verbessert werden.
In diesem Blog erklären wir, wie diese neue Variante funktioniert und warum sie aufgrund ihrer neuen Verbesserungen eine noch größere Bedrohung für Android-Benutzer darstellt.
Technische Analyse:
Wir sind auf zwei Varianten der neuen Version gestoßen: eine, die eine fehlerhafte mehrstufige Dropper-Payload-Architektur verwendet, und eine andere, die eine heimlichere C2-Extraktionsmethode einsetzt und dabei Benachrichtigungsdaten von anderen Apps stiehlt.
-
Fehlerhafte mehrstufige Dropper-Nutzlast
| Erste Stufe – Dropper | Zweite Stufe – Nutzlast | |
| Dateiname | e_challan_report | Abonnieren |
| MD5 | ad4626eff5238ce7c996852659c527bc | ae1f49bd14027c7adea18147cb02f72a |
| App Name | NextGen mParivahan | NextGen mParivahan |
| Paketname | com.xyz.dropper | com.example.icici |
Anti-Analyse-Technik
Der Malware-Autor hat diese Dropper- und Payload-APKs absichtlich so entwickelt, dass sie eine statische Analyse erschweren. Viele Open-Source-Android-APK-Analysetools konnten diese APKs nicht verarbeiten, was die Analyse erschwert. Siehe unten:
Apktool konnte die APK nicht dekompilieren.
Jadx konnte nicht dekompiliert werden –
Androguard konnte nicht dekompiliert werden –
Bytecode-Viewer konnte nicht dekompiliert werden –
7zip konnte die APK-Datei ebenfalls nicht extrahieren –
Die Android-Build-Tools AAPT (Android Asset Packaging Tool) und AAPT2 (Android Asset Packaging Tool) können die Datei AndroidManifest.xml ebenfalls nicht sichern –
Darüber hinaus kann diese fehlerhafte APK-Datei aufgrund einer beschädigten XML-Datei nicht auf Android 8.1 und früheren Versionen installiert werden, da das Betriebssystem sie nicht wie spätere Android-Versionen extrahieren kann.
Der von all diesen Tools angezeigte Fehler weist auf eine nicht unterstützte Komprimierungsmethode hin, d. h. die APK-Datei verwendet eine ungültige Komprimierungstechnik. AAPT und Android OS 8.1 (API-Level 27) melden jedoch einen beschädigten AndroidManifest.xml-Fehler, der nichts mit der nicht unterstützten Komprimierungsmethode zu tun hat. Trotzdem lässt sich die fehlerhafte APK problemlos auf Android-Geräten und Emulatoren mit Android OS 9 (API-Level 28) und höher installieren und ausführen.
Warum schlagen Analysetools fehl, wenn dieses APK unter Android OS (9+) ausgeführt wird?
Eine APK-Datei ist im Wesentlichen ein ZIP-Archiv. Unten sehen Sie das Header-Format, wobei die Werte an den Offsets 08 und 09 die in der ZIP-Datei verwendete Komprimierungsmethode angeben.
Android-APK-Dateien folgen dem ZIP-Format und verwenden normalerweise zwei Komprimierungsmethoden:
- Speichern (keine Komprimierung) – Wird für Dateien verwendet, die keine Komprimierung benötigen, z. B. voroptimierte Binärdateien und einige Assets.
- Luft ablassen (Standardkompression) – Die am häufigsten verwendete Methode zum Komprimieren von Ressourcen, XML-Dateien und anderen nicht ausführbaren Inhalten.
Die von den meisten APK-Dateien verwendete Komprimierungsmethode –
Die von dieser fehlerhaften Dropper-APK-Datei verwendete Komprimierungsmethode ist weder Deflate noch Store. Ihr Wert ist 0x1998 (dezimal 6552), was vom ZIP-Format nicht unterstützt wird.
- Alle Analysetools folgen strikt dem ZIP-Format und erwarten als Komprimierungsmethode entweder Deflate oder Store Only. Das Android-Betriebssystem prüft jedoch nur, ob die Komprimierungsmethode Deflate ist oder nicht. Wenn die Komprimierungsmethode nicht Deflate ist, geht das Betriebssystem von Store (d. h. unkomprimiert) aus.
- Android 9 hat im Vergleich zu Android 8 eine andere Methode zum Parsen monolithischer Apps eingeführt. Diese neue Implementierung behandelt den Zugriff auf Assets anders. Daher tritt dieses Problem bei bestimmten APKs, die in Android 8 und früheren Versionen Manifestbeschädigungsfehler verursachten, unter Android 9 nicht mehr auf.
Extrahieren und Dekodieren der AndroidManifest-Datei
Ich habe ein Skript geschrieben, um die Rohdatei AndroidManifest.xml aus einer APK zu extrahieren, indem ich die ZIP-Struktur analysiere. Es sucht das zentrale Verzeichnis, findet AndroidManifest.xml, extrahiert die Komprimierungsdetails und Rohdaten und dekodiert dann mithilfe von Androguard die extrahierte Rohdatei AndroidManifest.xml in ein lesbares XML-Format.
Unten sehen Sie die dekodierte AndroidManifest.xml des Dropper APK. Sie fordert Berechtigungen für QUERY_ALL_PACKAGES an, um installierte Apps aufzulisten, und für REQUEST_INSTALL_PACKAGES, um die Payload-Anwendung zu installieren.
Unten sehen Sie die dekodierte AndroidManifest.xml der Payload-APK. Sie fordert vertrauliche Berechtigungen wie RECEIVE_SMS, READ_SMS und SEND_SMS an, um auf SMS-Nachrichten zuzugreifen und diese zu senden.
Ausführung von Malware
Nach dem Start fordert die Dropper-Anwendung den Benutzer auf, die App zu aktualisieren. Nach dem Klick auf „Aktualisieren“ wird die Berechtigung zur Installation aus unbekannten Quellen angefordert. Sobald diese erteilt ist, wird die Payload-APK installiert, die dasselbe Symbol wie der Dropper verwendet, dieses aber in der App-Schublade versteckt.
Klickt der Nutzer nun auf das mParivahan-App-Symbol, startet die Payload-Anwendung. Zunächst werden SMS- und Anrufberechtigungen angefordert. Anschließend wird eine Seite angezeigt, auf der der Nutzer aufgefordert wird, seine Fahrzeug- und Telefonnummer einzugeben, um den Challan-Status zu verfolgen. Anschließend wird der Nutzer aufgefordert, 1 Rupien über PhonePe, Google Pay oder Paytm zu bezahlen und seine Zahlungs-PIN einzugeben. Nach der Transaktion wird eine Bestätigungsseite mit der Meldung „Zahlung abgeschlossen. Warten Sie 30 Minuten und löschen Sie die App nicht vom Gerät“ angezeigt.
Allerdings stiehlt die Anwendung im Hintergrund die eingegebenen Informationen und speichert sie in einer Firebase-Datenbank. Da die App über SMS-Zugriffsberechtigungen verfügt, erfasst sie auch eingehende SMS-Daten und lädt diese in Firebase hoch.
-
Heimlichere native C2-Extraktion und Benachrichtigungsdiebstahl
| Dateiname | NextGen mParivahan.apk |
| MD5 | 8bf7ea1c35697967a33c0876df5f30b9 |
| App Name | NextGen mParivahan |
| Paketnamen | com.sakurai.endo3798132 |
Die zweite Variante fordert beim Start Berechtigungen für SMS- und Anrufverwaltung an. Anschließend wird der Nutzer aufgefordert, der Malware Benachrichtigungszugriff zu gewähren. Nachdem alle erforderlichen Berechtigungen eingeholt wurden, wird der Nutzer aufgefordert, eine Telefonnummer einzugeben. Sobald der Nutzer auf „Weiter“ klickt, öffnet sich die Google-Startseite und das zugehörige Symbol wird ausgeblendet.
Malware, die Zugriff auf Benachrichtigungsdaten hat, überwacht diese kontinuierlich. Sobald eine neue Benachrichtigung veröffentlicht wird, erfasst sie die Daten und sendet sie an den C2-Server.
Die Malware-Anwendung verwaltet eine Liste von Apps, deren Benachrichtigungen gestohlen werden sollen. Zu den Zielanwendungen gehören WhatsApp, Facebook, Amazon, Zomato, Telegram, Google Messages, Gmail usw.
C2-Extraktion aus nativem Code
Die Malware generiert die C2-Server-URL dynamisch zur Laufzeit und vermeidet so die Speicherung im Klartext, um einer Erkennung zu entgehen. Die folgende Abbildung zeigt Code aus dem Java-Abschnitt. Die Klasse `SecreatHeven` lädt die native Bibliothek „libbunnycoban.so“ und definiert native Funktionen. Die Funktion `bunnylovesCarrot()` gibt die C2-Server-URL zurück. Zwei weitere Funktionen, `hiddendandelion()` und `SecreatAcron()`, liefern die URL des IP-Info-Dienstes und das IP-Info-Token. Die Malware verwendet diese Funktionen möglicherweise bei der Generierung des C2-Servers, da sie an keiner anderen Stelle im Code referenziert werden.
Hier ist ein Codeausschnitt, der den Code zum Generieren des C2-Servers aus der .so-Datei zeigt.
Die Protokolle zeigen deutlich den von dieser Malware verwendeten C2-Server –
Beide Varianten verfügen über ähnliche Funktionen zum SMS-Diebstahl wie die Vorgängerversion. Sie greifen auf SMS-Daten zu und senden diese an den extrahierten C2-Server oder Firebase. Zusätzlich implementieren sie einen Bootloader-Broadcast-Receiver für die Persistenz, der es ermöglicht, die Anwendung nach dem Booten des Geräts im Hintergrund zu starten.
Taktiken und Techniken von MITRE ATT&CK:
Quick Heal-Erkennung von Android-Malware
Quick Heal erkennt solche bösartigen Anwendungen mit Varianten von Android.Spyagent.A
Es wird allen Mobilnutzern empfohlen, ein vertrauenswürdiges Antivirenprogramm wie „Quick Heal Mobile Security für Android“ zu installieren, um solche Bedrohungen abzuwehren und geschützt zu bleiben. Unsere Antivirensoftware verhindert, dass Nutzer schädliche Apps auf ihre Mobilgeräte herunterladen. Laden Sie Ihren Android-Schutz hier herunter.
Fazit:
Diese Malware-Variante zeigt, wie Cyberkriminelle ihre Techniken kontinuierlich weiterentwickeln, um der Erkennung zu entgehen und mehr Nutzerdaten zu stehlen. Durch den Einsatz fehlerhafter APKs, dynamischer C2-Generierung und Anti-Analyse-Methoden wird es für herkömmliche Sicherheitstools zunehmend schwieriger, ihre bösartigen Aktivitäten zu erkennen. Darüber hinaus stellt ihr Zugriff auf Benachrichtigungen, SMS und sensible App-Daten ein erhebliches Risiko für die Privatsphäre der Nutzer dar.
Da sich Bedrohungen jedoch weiterentwickeln, ändern sich auch die Analysemethoden. Sicherheitslösungen und threat intelDie Strafverfolgungsbehörden verbessern ihre Erkennungstechniken durch die eingehende Untersuchung von Verschleierungsstrategien, dynamischer Analyse und fortschrittlichen Ansätzen zur Bedrohungserkennung. Die Stärkung des Sicherheitsbewusstseins, die Nutzung vertrauenswürdiger Quellen für App-Installationen und der Einsatz moderner Analysetools sind unerlässlich, um diesen neuen Bedrohungen entgegenzuwirken.
IOCs
URLs:
Https[:]//cyberdefensetech[.]cc/
TIPPS FÜR IHRE DIGITALE SICHERHEIT:
- Laden Sie Anwendungen nur von vertrauenswürdigen Quellen herunter, wie Google Play Store.
- Klicken Sie nicht auf Links, die Sie über Nachrichten oder andere Social-Media-Plattformen erhalten haben, da diese absichtlich oder unabsichtlich auf bösartige Websites verweisen könnten.
- Lesen Sie die Popup-Nachrichten des Android-Systems, bevor Sie neue Berechtigungen akzeptieren oder zulassen.
- Seien Sie äußerst vorsichtig, welche Anwendungen Sie auf Ihr Telefon herunterladen, da Malware-Autoren die Namen, Symbole und Entwicklerdetails der Originalanwendungen leicht fälschen können.
- Für einen verbesserten Telefonschutz verwenden Sie immer ein gutes Antivirenprogramm wie Quick Heal Mobile Security für Android.
Warten Sie nicht! Schützen Sie Ihre Smartphones noch heute mit Quick Heal Total Security für Mobiltelefone und Smartphones – Jetzt kaufen oder verlängern!
